Addendum sul trattamento dei dati personali di Menelier (DPA)

Data di efficacia: 1 settembre 2026
Versione: 2026-09-01-professional-legal-review

La presente Appendice sul trattamento dei dati ("DPA") costituisce parte dei Termini di servizio di Menelier o di un altro accordo (il "Contratto") tra il cliente identificato nel Contratto ("Cliente") e Martin Mayer, operatore di Menelier ("Menelier").

1. Ambito e ruoli

Il presente DPA si applica quando Menelier tratta i dati personali per conto del Cliente nella fornitura del servizio Menelier.

Il Cliente è il titolare del trattamento e Menelier è il responsabile del trattamento laddove il Cliente carica, crea, importa, pubblica o altrimenti invia dati personali riguardanti il ​​proprio personale, appaltatori, fornitori, ospiti o altri individui ("Dati personali del Cliente").

Menelier rimane un titolare indipendente del trattamento dei dati per i propri scopi, tra cui amministrazione dell'account, fatturazione diretta, documentazione fiscale, sicurezza, prevenzione delle frodi, comunicazioni di servizio e conformità legale. Tali attività sono coperte dall'Informativa sulla privacy di Menelier e sono esterne al presente DPA.

2. Istruzioni del cliente

Menelier tratterà i Dati Personali del Cliente esclusivamente:

• fornire, proteggere, mantenere e supportare il servizio previsto dal Contratto;
• secondo l'utilizzo documentato e la configurazione del servizio da parte del Cliente;
• su ulteriori istruzioni documentate concordate tra le parti; o
• ove il trattamento sia richiesto dalla legge applicabile, nel qual caso Menelier informerà il Cliente prima del trattamento, a meno che la legge vieti la notifica.

Il Contratto, il presente DPA, l'utilizzo del servizio da parte del Cliente e le richieste di supporto costituiscono istruzioni documentate.

Il Cliente è responsabile di garantire che le sue istruzioni e i suoi Dati personali siano conformi alla legge applicabile, che disponga di una base legale per il trattamento e che fornisca le informazioni richieste agli interessati.

3. Dettagli del trattamento

L'oggetto, la natura, la finalità e la durata del trattamento, nonché le categorie di dati e gli interessati, sono descritti nell'Allegato 1.

4. Riservatezza

Menelier garantirà che le persone autorizzate al trattamento dei Dati Personali del Cliente siano vincolate da obblighi di riservatezza e ricevano accesso solo nella misura necessaria per il loro lavoro.

5. Sicurezza

Tenendo conto dello stato dell'arte, dei costi di implementazione, del contesto e dei rischi del trattamento, Menelier manterrà misure tecniche e organizzative adeguate progettate per proteggere i dati personali del cliente da distruzione, perdita, alterazione, divulgazione o accesso non autorizzati accidentali o illeciti.

Le misure attuali sono descritte nell'Allegato 2. Menelier può aggiornarle a condizione che il livello complessivo di protezione non sia sostanzialmente ridotto.

6. Sub-responsabili del trattamento

Il Cliente concede a Menelier l'autorizzazione generale scritta a coinvolgere i subresponsabili necessari per fornire il Servizio. I subresponsabili autorizzati a partire dalla Data di Efficacia sono elencati nell'Allegato 3. Menelier avviserà il Cliente per iscritto almeno 30 giorni prima di aggiungere o sostituire un subresponsabile, dando al Cliente la possibilità di opporsi per ragionevoli motivi di protezione dei dati.

Menelier:

• richiedere a ciascun subresponsabile mediante accordo scritto di assumere gli stessi obblighi di protezione dei dati imposti a Menelier dal presente DPA, nella misura applicabile al trattamento del subresponsabile, compresi i requisiti dell'articolo 28, paragrafo 4, GDPR;
• rimangono responsabili dell'adempimento da parte del subresponsabile dei propri obblighi di protezione dei dati nella misura richiesta dalla legge applicabile; e
• dare un preavviso ragionevole in merito a un nuovo subresponsabile tramite l'elenco pubblicato, l'e-mail o il servizio.

Il Cliente può opporsi a un nuovo sub-responsabile per ragionevoli motivi di protezione dei dati entro 15 giorni dalla notifica. Le parti lavoreranno in buona fede per trovare una soluzione ragionevole. Se non è disponibile alcuna soluzione, ciascuna delle parti può interrompere il servizio interessato; qualsiasi rimborso è regolato dal Contratto e dalla legge applicabile.

7. Assistenza al Cliente

Considerando la natura del trattamento e delle informazioni a disposizione di Menelier, Menelier fornirà al Cliente un’assistenza ragionevole con:

• risposta alle richieste degli interessati;
• obblighi in materia di sicurezza e violazione dei dati personali;
• valutazioni di impatto sulla protezione dei dati; e
• previa consultazione di un'autorità di vigilanza ove richiesto.

Se Menelier riceve una richiesta direttamente da un interessato riguardante i Dati personali del Cliente, Menelier reindirizzerà il richiedente al Cliente ove ragionevolmente possibile e non soddisferà in modo indipendente la richiesta a meno che il Cliente non lo istruisca o la legge lo richieda.

Il Cliente rimborserà i costi ragionevoli per un'assistenza insolitamente estesa non causata dalla violazione di Menelier, se concordato in anticipo.

8. Violazioni dei dati personali

Menelier avviserà il Cliente senza indebito ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che interessa i Dati personali del Cliente. L'avviso includerà le informazioni disponibili ragionevolmente necessarie per gli obblighi legali del Cliente, che potrebbero essere fornite in fasi man mano che si sviluppa l'indagine.

La notifica di Menelier non costituisce un'ammissione di colpa o responsabilità.

Contatto di sicurezza: info@menelier.com

9. Cancellazione e restituzione

Durante il periodo di servizio, il Cliente può utilizzare le funzioni di esportazione ed eliminazione disponibili.

Dopo la cessazione o la scadenza del servizio, Menelier, a scelta del Cliente, cancellerà o restituirà i Dati personali del Cliente, salvo che il diritto dell'Unione o di uno Stato membro ne richieda la conservazione. I dati presenti nelle copie di backup protette saranno eliminati secondo il normale ciclo di backup e resteranno soggetti al presente DPA finché saranno conservati.

Periodo di eliminazione operativa: La cancellazione self-service di un utente prevede un periodo di 14 giorni durante il quale la richiesta può essere annullata. Le istruzioni verificate per la cancellazione dell’intero account sono gestite senza ingiustificato ritardo e normalmente entro 30 giorni, fatti salvi la verifica della titolarità dell’account, gli obblighi legali di conservazione e le dipendenze tecniche.
Periodo di conservazione del backup: 35 days

Menelier può conservare i dati del titolare del trattamento, come fatture, documenti di sicurezza dell'account e prova di accettazione legale, ai sensi dell'Informativa sulla privacy e della legge applicabile.

10. Verifiche e informazioni

Menelier metterà a disposizione le informazioni ragionevolmente necessarie per dimostrare la conformità all'articolo 28 GDPR. Il Cliente può richiedere la documentazione di sicurezza pertinente o rapporti indipendenti, ove disponibili.

Se tali informazioni sono insufficienti, il Cliente può condurre un audit non più di una volta all'anno, tranne dopo un incidente materiale o laddove un'autorità di vigilanza richieda diversamente. Gli audit devono:

• essere organizzato con ragionevole anticipo;
• si verificano durante il normale orario lavorativo;
• evitare interruzioni e l'accesso ai dati di altri clienti;
• essere svolti dal Cliente o da un revisore indipendente qualificato incaricato dal Cliente, in entrambi i casi nel rispetto di adeguati obblighi di riservatezza; e
• rispettare i ragionevoli requisiti di sicurezza di Menelier.

Il cliente sostiene i costi di audit a meno che l'audit non identifichi una violazione materiale da parte di Menelier.

11. Trasferimenti internazionali

Menelier non trasferirà i Dati Personali del Cliente al di fuori dello Spazio Economico Europeo o di un'altra regione di origine in violazione delle norme di trasferimento applicabili.

Ove richiesto, le parti faranno affidamento su una decisione di adeguatezza, sulle clausole contrattuali standard della Commissione Europea, sulle clausole contrattuali UE-USA. Quadro sulla privacy dei dati per un destinatario idoneo o altra tutela valida. I moduli di trasferimento applicabili e le misure supplementari saranno incorporati per riferimento o resi disponibili su richiesta.

Regione ospitante principale: Repubblica Ceca
Dettagli sul meccanismo di trasferimento: L’hosting principale e le copie di backup cifrate si trovano nell’Unione europea. Il trattamento facoltativo tramite IA può comportare trasferimenti a OpenAI e ai suoi sub-responsabili. Quando un trasferimento al di fuori del SEE richiede una garanzia adeguata, Menelier si basa sui meccanismi previsti dalle condizioni applicabili di trattamento dei dati di OpenAI, incluse, a seconda dei casi, le Clausole Contrattuali Standard o un meccanismo di adeguatezza applicabile.

12. Istruzioni contrarie alla normativa

Menelier informerà tempestivamente il Cliente se, a suo ragionevole giudizio, un'istruzione viola la legge applicabile sulla protezione dei dati. Menelier potrà sospendere il trattamento interessato finché le parti non risolveranno la questione.

13. Responsabilità e ordine di precedenza

La responsabilità ai sensi del presente DPA è soggetta alle disposizioni in materia di responsabilità del Contratto, salvo laddove la legge applicabile richieda diversamente.

Se questo DPA è in conflitto con l'Accordo sul trattamento dei dati personali del cliente, prevale questo DPA. Se le clausole contrattuali standard applicabili sono in conflitto con il presente DPA, tali clausole prevarranno per il relativo trasferimento.

14. Durata

Il presente DPA rimane efficace mentre Menelier tratta i dati personali del cliente per conto del cliente.

Allegato 1 - Descrizione del trattamento

Allegato 2 - Misure tecniche e organizzative

• crittografia del trasporto utilizzando HTTPS/TLS;
• hashing della password utilizzando l'hashing della password PHP corrente;
• accesso basato sui ruoli e separazione dello spazio di lavoro del cliente;
• accesso limitato al superadmin e alla produzione;
• Protezione CSRF, gestione sicura delle sessioni e verifica della posta elettronica;
• webhook Stripe firmati e convalida degli eventi di pagamento;
• limitazione della frequenza delle richieste, prevenzione degli abusi e registrazione di audit/sicurezza;
• archiviazione privata per caricamenti non pubblici e pubblicazione pubblica controllata;
• restrizioni di accesso a database, file e backup;
• processo di mantenimento della vulnerabilità e delle dipendenze: Le vulnerabilità rese pubbliche che interessano componenti utilizzati da Menelier sono valutate in base alla gravità e alla rilevanza. Le patch di sicurezza e gli aggiornamenti delle dipendenze vengono applicati nell’ambito della manutenzione continua, dando priorità ai problemi di sicurezza rilevanti.;
• frequenza di backup e test di ripristino: Menelier crea ogni giorno un backup cifrato dell’applicazione che comprende il database e i caricamenti privati, conserva una copia cifrata remota su WEDOS Disk, monitora l’attualità dei backup e mantiene i backup applicativi per 35 giorni. La procedura di convalida del ripristino ha decrittografato e verificato con successo un archivio di backup di produzione; al momento non è garantita un’esercitazione completa e periodica di disaster recovery.;
• risposta all'incidente ed escalation: Gli incidenti di sicurezza sono gestiti dall’Operatore in base alle circostanze, incluse attività di contenimento, valutazione dell’impatto, rimedio e documentazione. I clienti interessati e le autorità competenti sono informati quando richiesto dalla legge applicabile o dal contratto.;
• revisione dell'accesso e offboarding del personale/appaltatore: L’accesso amministrativo è limitato all’Operatore e ai collaboratori espressamente autorizzati secondo il principio della necessità di conoscere. I diritti di accesso vengono riesaminati quando cambiano ruoli o rapporti contrattuali e sono revocati senza ingiustificato ritardo quando non sono più necessari.;
• controlli di cancellazione e conservazione dei dati: I Dati Personali del Cliente vengono cancellati o anonimizzati a seguito di una richiesta valida di cancellazione o alla cessazione del Servizio, salvo che la conservazione sia imposta dalla legge applicabile o necessaria per accertare, esercitare o difendere un diritto in sede giudiziaria. La cancellazione self-service di un utente comprende un periodo di annullamento di 14 giorni. I dati cancellati possono rimanere nei backup cifrati per un massimo di 35 giorni.;
• obiettivi di continuità aziendale e ripristino: Il ripristino del Servizio utilizza l’hosting WEDOS, backup applicativi cifrati giornalieri e una copia cifrata separata su WEDOS Disk. Menelier non garantisce attualmente uno specifico Recovery Time Objective (RTO) o Recovery Point Objective (RPO); il ripristino viene eseguito con ragionevoli sforzi.

Allegato 3 – Sub-responsabili iniziali

Allegato 4 - Parti

Cliente/responsabile del trattamento

Il cliente identificato nel contratto o nell'account Menelier.

Menelier / responsabile del trattamento

• Nome legale: Martin Mayer
• Indirizzo: Holubice 366, 68351 Holubice
• N. identificativo (IČO): 73507351
• P. IVA/ID fiscale (DIČ): CZ8003301680
• Contatto: info@menelier.com
• Telefono: +420 724 548 554